Аналитики SOC — неважно, работают ли они в большой команде или в маленькой — регулярно говорят мне, что видят все срабатывания корреляционных правил, но не успевают в них ра не значит, что они плохо работают. SOC в крупной организации фиксирует более 10 000 срабатываний в день, и физически невозможно для каждого из них вручную поднять контекст, свериться с базой знаний и принять решких условиях нерасследованными остаются почти две трети срабатываний, в большинстве своем — те, которым присвоены невысокие уровни значимости. Это позволяет злоумышленнику «замаскироваться под фон». Когда мы в Positive Technologies моделировали поведение инсайдера в корпоративной инфраструктуре, традиционная система, построенная на сигнатурах и корреляционных правилах, выдала лишь три алерта с уровнями значимости medium и low.
Читать далееAI-агенты
ИИ-помощник PT Naira в MaxPatrol SIEM: почему аналитик перестал искать и начал спрашивать
